System Fix- Au secours

rbtp -

Bonjour,
Je refais appel à l'aide pour le même problème arrivé hier soir à mon ordi sur le compte utilisateur B (compte limité) où je travaille d'habitude pour mes connexions Internet. (Rarement je me connecte aussi sur mon compte Admin).
J'ai eu subitement un nombre de messages indiquant des problèmes pour mon ordinateur et après une fenêtre System fix qui m'impose de le scanner que j'ai suivi. Des icônes manquaient sur mon bureau après. Je me suis rendu compte de mon erreur et j'ai pu arrêter mon ordi sans fermer la fenêtre System Fix. J'ai ré-ouvert mon compte B et me connecter mais tout le problème revient et j'ai éteint mon ordi. Après j'ai démarré sur le compte Admin, là tout semble normal. Ce matin j'ai pu mettre à jour mon Avira(v.10) et je suis en train de scanner mon système.
J'ai vu hier soir les procédures utilisées par anthony5151 mais je ne pourrai pas les faire seule sans assistance.
Merci d'avance pour votre aide.

Afficher la suite

A voir également

System Fix- Au secours
Fix it - Télécharger - Optimisation
Reboot system now - Guide
System ninja - Télécharger - Nettoyage
Fichier ouvert dans system ✓ - Forum Windows
System halted ✓ - Forum Matériel & Système

58 réponses

Résumé de la discussion

Un ordinateur sous Windows XP affiche des messages d’erreur et une fenêtre System Fix imposant une analyse après une infection, avec des icônes manquantes et un écart de comportement entre les comptes B et Admin. Des solutions de désinfection sont proposées, notamment RogueKiller, Delfix et ZHPDiag/ZHPFix, avec génération de rapports et étapes de nettoyage pour identifier et supprimer les éléments malveillants. En cas d’impossibilité d’opérer dans la session limitée, il faut lancer les outils en mode administrateur depuis la session Admin et suivre les rapports pour finaliser le nettoyage. En dernier recours, Delfix peut supprimer proprement les outils de désinfection et générer un rapport, étape utile pour éviter que les outils restent actifs après le nettoyage.

Réponse 1 / 58 - Meilleure réponse
La meilleure réponse est la réponse qui a été validée par nos équipes.
moment de grace Contributeur sécurité
bonjour

Télécharger sur le bureau RogueKiller
https://www.luanagames.com/index.fr.html

*( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

* Quitte tous tes programmes en cours
* Lance RogueKiller.exe.
* Lorsque demandé, tape 2 et valide puis fais l'otion 6
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.

Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

2

Réagir
Réponse 2 / 58
rbtp Auteur
Bonjour et merci de votre réponse,
J'ai fait RogueKiller, avec le 2, ci après le rapport:
RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: JOCELYN [Droits d'admin]
Mode: HOSTS RAZ -- Date : 21/11/2011 12:48:39

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [LOADED] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

¤¤¤ Nouveau fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt
--------------------

0

Réagir
Réponse 3 / 58
rbtp Auteur
Je m'excuse, le précédent rapport a été obtenu avec le code 3 ( pour les fichiers HOSTS.

Ci- après le rapport obtenu avant avec le code 2:
RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: JOCELYN [Droits d'admin]
Mode: Suppression -- Date : 21/11/2011 12:43:52

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

0

Réagir
Réponse 4 / 58
moment de grace Contributeur sécurité
Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. Rends toi dans l'onglet rapport/log
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ces tutoriels :
Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

0

Réagir
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 58
rbtp Auteur
Bien reçu mais mais avant de continuer je dois remarquer les 2 points ci après:
1- j'ai lancé le RogueKiller sur mon compte Admin (Dans le compte utilisateur atteint par le problème je ne peux pas me connecter).
2- j'ai reçu un petit message d'alerte de sécurité Windows , à droite de la barre de tâche signalé par un icône rouge avec une croix blanche : que mon ordi court un risque car certains mis à jour sont bloquées.
Alors je continue?

0

Réagir
1. Tigzy Contributeur sécurité
  
  Salut
  
  Tu ne peux pas te connecter sur la session infectée?
  Quel est le problème?
  
  0
  
  Réagir
Réponse 6 / 58
rbtp Auteur
Firefox a été très lente à ouvrir dans la session infectée et l'écran est toujours envahi par les fenêtres du System Fix. Et puis c'est un compte limité que je ne pourrais pas installer MBMA. Je suis en train de lancer la recherche de MBMA mais dans ma session Admin. Donc ça ne vaut pas la peine de continuer ? Et en plus je suis dans un pays où les pannes de courants est fréquentes et longues alors que je voudrais être bien fixé ce soir pour la voie à suivre pour résoudre ce problème.
Merci.

0

Réagir
Réponse 7 / 58
moment de grace Contributeur sécurité
oui continue MBAM

on verra ensuite

0

Réagir
Réponse 8 / 58
rbtp Auteur
J'ai laissé finir complètement le scan de MBMA dans la session Admin. Voici les résultats :

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8207

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

21/11/2011 19:20:06
mbam-log-2011-11-21 (19-20-06).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 525752
Temps écoulé: 3 heure(s), 10 minute(s), 35 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\all users\application data\njkgukkjfthnldi.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\interne\local settings\Temp\dytlcys0duytfs.exe.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\interne\mes documents\downloads\documents\downloads\Programs\20111105-mywebface-free\mywebface.exe (Adware.FunWeb) -> Quarantined and deleted successfully.
c:\documents and settings\interne\mes documents\downloads\documents\downloads\Programs\telech-200811\mywebface.exe (Adware.FunWeb) -> Quarantined and deleted successfully.
f:\copie cd logiciels\0-tools\20110305-tools\20110305- nouv version winrarsur eorozo.com\webinstaller.exe (Adware.EoRezo) -> Quarantined and deleted successfully.
f:\copie cd logiciels\sauv-cd autodeskarchi2009\crack\architecture xf-acada2k9-32bit-kg.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
f:\sauv290910-piv1500\diskG\sauv130104-piv1500\logiciels\2-RIRI\COPIE-cd\CloneCD\setupclonecd.exe (Trojan.Agent.CK) -> Quarantined and deleted successfully.
f:\system volume information\_restore{45c0e838-ec69-4ed7-a081-068e643bf00d}\RP406\A0111547.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
-------------------
Par contre je vais essayer de refaire le tout dans la session infectée
Merci de votre assistance.

0

Réagir
Réponse 9 / 58
moment de grace Contributeur sécurité
sur la session infectée, repasse roguekiller en option 2 et poste le rapport

0

Réagir
1. Tigzy Contributeur sécurité
  
  Bizarre, on dirait que tout est isolé des autres sessions...
  
  MBAM ne trouve aucune clé registre, ni RogueKiller....
  
  0
  
  Réagir
Réponse 10 / 58
rbtp Auteur
J'ai fini de lancer RogueKiller en mode 2 et 3 sur la session infectée >> les 02rapports suivent:

RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: interne [Droits restreints]
Mode: Suppression -- Date : 21/11/2011 19:34:35

¤¤¤ Processus malicieux: 46 ¤¤¤
[HJ NAME] smss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] csrss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] winlogon.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] services.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] lsass.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] btwdins.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] spoolsv.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sched.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avguard.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] FsUsbExService.Exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] jqs.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avshadow.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] raysat_3dsmax2010_32server.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlservr.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] nvsvc32.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] SeaPort.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlwriter.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] wmiapsrv.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] wmiprvse.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] alg.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] wuauclt.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] PresentationFontCache.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] smss.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] csrss.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] winlogon.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] services.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] lsass.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] spoolsv.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] alg.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] wuauclt.exe -- LOCKED -> NOT KILLED [0x5]
[RESIDUE] svchost.exe -- LOCKED -> NOT KILLED [0x5]

¤¤¤ Entrees de registre: 49 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : NJKgUKkjfTHNlDI.exe (C:\Documents and Settings\All Users\Application Data\NJKgUKkjfTHNlDI.exe) -> DELETED
[] HKLM\[...]\Run : () -> ACCESS DENIED
[] HKLM\[...]\RunOnce : () -> ACCESS DENIED
[] HKLM\[...]\RunOnceEx : () -> ACCESS DENIED
[] HKLM\[...]\Winlogon : () -> ACCESS DENIED
[] HKLM\[...]\Windows : () -> ACCESS DENIED
[] HKLM\[...]\services : () -> ACCESS DENIED
[] HKLM\[...]\services : () -> ACCESS DENIED
[] HKLM\[...]\Root : () -> ACCESS DENIED
[] HKLM\[...]\Root : () -> ACCESS DENIED
[] HKLM\[...]\Internet Settings : () -> ACCESS DENIED
[] HKLM\[...]\Parameters : () -> ACCESS DENIED
[] HKLM\[...]\Parameters : () -> ACCESS DENIED
[] HKLM\[...]\Image File Execution Options : () -> ACCESS DENIED
[] HKCU\[...]\Explorer : () -> ACCESS DENIED
[] HKCU\[...]\Explorer : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\Explorer : () -> ACCESS DENIED
[] HKLM\[...]\Explorer : () -> ACCESS DENIED
[] HKCU\[...]\Explorer : () -> ACCESS DENIED
[] HKLM\[...]\SystemRestore : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\System : () -> ACCESS DENIED
[] HKLM\[...]\Security Center : () -> ACCESS DENIED
[] HKLM\[...]\Security Center : () -> ACCESS DENIED
[] HKLM\[...]\Security Center : () -> ACCESS DENIED
[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> REPLACED (1)
[] HKLM\[...]\ClassicStartMenu : () -> ACCESS DENIED
[] HKLM\[...]\NewStartPanel : () -> ACCESS DENIED
[] HKLM\[...]\ClassicStartMenu : () -> ACCESS DENIED
[] HKLM\[...]\NewStartPanel : () -> ACCESS DENIED
[] HKLM\[...]\ClassicStartMenu : () -> ACCESS DENIED
[] HKLM\[...]\NewStartPanel : () -> ACCESS DENIED
[] HKLM\[...]\command : () -> ACCESS DENIED
[] HKCR\[...]\command : () -> ACCESS DENIED
[] HKCR\[...].exe : () -> ACCESS DENIED
[] HKLM\[...]\command : () -> ACCESS DENIED
[] HKLM\[...]\command : () -> ACCESS DENIED
[] HKLM\[...]\command : () -> ACCESS DENIED
[] HKCR\[...]\command : () -> ACCESS DENIED
[] HKCR\[...]\InprocServer32 : () -> ACCESS DENIED
[] HKLM\[...]\Windows : () -> ACCESS DENIED
[] HKLM\[...]\ShellServiceObjectDelayLoad : () -> ACCESS DENIED
[] HKLM\[...]\SharedTaskScheduler : () -> ACCESS DENIED
[] HKLM\[...]\Browser Helper Objects : () -> ACCESS DENIED

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt
--------------------------------
2è Rapport: en mode 3

RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: interne [Droits restreints]
Mode: HOSTS RAZ -- Date : 21/11/2011 19:41:24

¤¤¤ Processus malicieux: 28 ¤¤¤
[HJ NAME] smss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] csrss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] winlogon.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] services.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] lsass.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] btwdins.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] spoolsv.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sched.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avguard.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] FsUsbExService.Exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] jqs.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avshadow.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] raysat_3dsmax2010_32server.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlservr.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] nvsvc32.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] SeaPort.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlwriter.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] wmiapsrv.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] alg.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] PresentationFontCache.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt
------------------------

0

Réagir
Réponse 11 / 58
rbtp Auteur
Je me connecte au forum maintenant sur un autre ordi pour envoyer ces rapports car je ne peux pas me connecter car l'ordi rame énormément et y a aussi les messages System Fix.
Merci pour la suite.

0

Réagir
Réponse 12 / 58
rbtp Auteur
Bizarre,
Après cette opération ayant généré ces rapports, je suis rentré sur la session infectée, j'ai pu facilement sans problème ouvrir Firefox et les messages System Fix n'apparaissent plus. Il reste les icônes manquantes.
Est ce qu'il est temps de faire le mode 6 de RogueKiller ?
Merci pour la suite

0

Réagir
1. Tigzy Contributeur sécurité
  
  Non, c'est normal :)
  
  [SUSP PATH] HKCU\[...]\Run : NJKgUKkjfTHNlDI.exe (C:\Documents and Settings\All Users\Application Data\NJKgUKkjfTHNlDI.exe) -> DELETED
  
  0
  
  Réagir
2. Xathor Contributeur sécurité
  
  Salut Tigzy. ;)
  
  0
  
  Réagir
Réponse 13 / 58
moment de grace Contributeur sécurité
oui fais l'option 6

puis

Télécharge ZHPDiag ( de Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista/Seven )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

0

Réagir
Réponse 14 / 58
rbtp Auteur
Voici d'abord le rapport de RogeKiller sous mode 6 :

RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: interne [Droits restreints]
Mode: Raccourcis RAZ -- Date : 21/11/2011 21:14:16

¤¤¤ Processus malicieux: 28 ¤¤¤
[HJ NAME] smss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] csrss.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] winlogon.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] services.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] lsass.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] btwdins.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] spoolsv.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sched.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avguard.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] FsUsbExService.Exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] jqs.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] avshadow.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] raysat_3dsmax2010_32server.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlservr.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] nvsvc32.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] SeaPort.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] sqlwriter.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] wmiapsrv.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] alg.exe -- LOCKED -> NOT KILLED [0x5]
[LOCKED] PresentationFontCache.exe -- LOCKED -> NOT KILLED [0x5]
[HJ NAME] svchost.exe -- LOCKED -> NOT KILLED [0x5]

¤¤¤ Driver: [NOT LOADED] ¤¤¤

Attributs de fichiers restaures:
Bureau: Success 80 / Fail 0
Lancement rapide: Success 7 / Fail 0
Programmes: Success 0 / Fail 14
Menu demarrer: Success 45 / Fail 0
Dossier utilisateur: Success 95807 / Fail 0
Mes documents: Success 19427 / Fail 0
Mes favoris: Success 3996 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 0 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 18150 / Fail 606
Sauvegarde: [FOUND] Success 6 / Fail 1

Lecteurs:
[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored
[D:] \Device\CdRom0 -- 0x5 --> Skipped
[E:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[F:] \Device\HarddiskVolume3 -- 0x3 --> Restored
[G:] \Device\Harddisk1\DP(1)0-0+7 -- 0x2 --> Restored

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

0

Réagir
Réponse 15 / 58
rbtp Auteur
Voici le lien d'envoi du fichier ZHPDiag:
https://pjjoint.malekal.com/files.php?id=ZHPDiag_t13u61310r5v12n14m15l8w14q8d14y8o8f12l5w8z14q14x10

0

Réagir
Réponse 16 / 58
rbtp Auteur
En voyant ce rapport tout n'est prêt de s'arrêter pour arriver au bout de cette désinfection mais je serai ravi de connaître la suite de l'opération.
Merci de votre disponibilité

0

Réagir
Réponse 17 / 58
rbtp Auteur
@ Moment de grace
Bonjour,
Je suis prêt pour la suite qui peut être longue à mon avis. J'ai déjà demandé/coché de recevoir les réponses par mail afin que je puisse réagir à temps à votre réponse mais cela ne marche pas ?

0

Réagir
Réponse 18 / 58
moment de grace Contributeur sécurité
ok

1)

Copie tout le texte présent en gras ci-dessous (tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

texte ici : https://www.cjoint.com/?AKwfNvxRBrL

Puis Lance ZHPFix depuis le raccourci du bureau . (Clique droit -> Executer en tant qu'admin pour Vista ou Seven)

* Une fois l'outil ZHPFix ouvert ,

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

............................

2)

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.

http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner

Lance le, clique sur SUPPRESSION puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleane.txt

.......................

3)

Redemarre le pc et dis moi si tu as encore des soucis

0

Réagir
Réponse 19 / 58
rbtp Auteur
Voici le rapport de ZHPFix:

Rapport de ZHPFix 1.12.3371 par Nicolas Coolman, Update du 18/11/2011
Fichier d'export Registre :
Run by interne at 22/11/2011 08:36:04
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Autre ==========
NON TRAITE https://www.cjoint.com/?AKwfNvxRBrL

========== Récapitulatif ==========
1 : Autre

End of clean in 00mn 00s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 22/11/2011 08:36:04 [470]
-----------------------
Je suis en train de faire le ADWCLEANER

0

Réagir
Réponse 20 / 58
moment de grace Contributeur sécurité
euh non

le texte à copier est là https://www.cjoint.com/?AKwfNvxRBrL

refais zhpfix stp

0

Réagir
1. rbtp Auteur
  
  J'ai vu 2 rapports de adwcleaner alors que je l'ai lancé 1 fois:
  (l'autre concerne le compte Admin surement)
  
  # AdwCleaner v1.319 - Rapport créé le 22/11/2011 à 08:57:23
  # Mis à jour le 20/11/11 à 11h par Xplode
  # Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
  # Nom d'utilisateur : JOCELYN - DIR (Administrateur)
  # Exécuté depuis : G:\remove System FIx\ADWCLEANER DE XPLODE\adwcleaner.exe
  # Option [Suppression]
  
  ***** [Services] *****
  
  ***** [Fichiers / Dossiers] *****
  
  Dossier Supprimé : C:\Documents and Settings\JOCELYN\Application Data\Babylon
  Dossier Supprimé : C:\Documents and Settings\JOCELYN\Local Settings\Application Data\AskToolbar
  Dossier Supprimé : C:\Documents and Settings\JOCELYN\Local Settings\Application Data\Babylon
  Dossier Supprimé : C:\Program Files\Ask.com
  Dossier Supprimé : C:\Program Files\Babylon
  Dossier Supprimé : C:\WINDOWS\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
  Dossier Supprimé : C:\Documents and Settings\JOCELYN\Application Data\Mozilla\Firefox\Profiles\v6t4pftc.default\extensions\toolbar@ask.com
  Fichier Supprimé : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml
  Fichier Supprimé : C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job
  Fichier Supprimé : C:\Documents and Settings\JOCELYN\Application Data\Mozilla\Firefox\Profiles\v6t4pftc.default\searchplugins\Askcom.xml
  
  ***** [Registre] *****
  
  Clé Supprimée : HKCU\Software\Ask.com
  Clé Supprimée : HKCU\Software\AskToolbar
  Clé Supprimée : HKCU\Software\APN
  Clé Supprimée : HKCU\Software\Babylon
  Clé Supprimée : HKCU\Software\BabylonToolbar
  Clé Supprimée : HKLM\SOFTWARE\AskToolbar
  Clé Supprimée : HKLM\SOFTWARE\APN
  Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd
  Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1
  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL
  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
  Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}
  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}
  Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{E46C8196-B634-44a1-AF6E-957C64278AB1}
  Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
  Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF
  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
  Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
  Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
  Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
  Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
  Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
  Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
  Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
  Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
  Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
  Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}]
  Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]
  Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]
  Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [ApnUpdater]
  
  ***** [Navigateurs] *****
  
  -\\ Internet Explorer v8.0.6001.18702
  
  [OK] Le registre ne contient aucune entrée illégitime.
  
  -\\ Mozilla Firefox v8.0 (fr)
  
  Profil : v6t4pftc.default
  Fichier : C:\Documents and Settings\JOCELYN\Application Data\Mozilla\Firefox\Profiles\v6t4pftc.default\prefs.js
  
  Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
  Supprimée : user_pref("browser.search.defaultengine", "Ask.com");
  Supprimée : user_pref("browser.search.defaultenginename", "Ask.com");
  Supprimée : user_pref("browser.search.order.1", "Ask.com");
  Supprimée : user_pref("browser.search.selectedEngine", "Ask.com");
  Supprimée : user_pref("extensions.asktb.InstallDir", "C:\\Program Files\\Ask.com\\");
  Supprimée : user_pref("extensions.asktb.abar-war-timeout", "4000");
  Supprimée : user_pref("extensions.asktb.cbid", "F4");
  Supprimée : user_pref("extensions.asktb.config-updated", true);
  Supprimée : user_pref("extensions.asktb.cr-o", "");
  Supprimée : user_pref("extensions.asktb.crumb", "2011.08.12+21.09.45-toolbar004iad-MG-QW50YW5hbmFyaXZvLE1hZGFnYX[...]
  Supprimée : user_pref("extensions.asktb.default-channel-url-mask", "hxxp://www.ask.com/web?q={query}&o={o}&l={l}[...]
  Supprimée : user_pref("extensions.asktb.dtid", "YYYYYYYYMG");
  Supprimée : user_pref("extensions.asktb.dyn-weather-do-locid-lookup-weatherWidget", false);
  Supprimée : user_pref("extensions.asktb.dyn-weather-locid-weatherWidget", "MAXX0002");
  Supprimée : user_pref("extensions.asktb.dyn-weather-tempunit-weatherWidget", "C");
  Supprimée : user_pref("extensions.asktb.ff-original-keyword-url", "hxxp://www.bing.com/search?mkt=fr-FR&form=MIM[...]
  Supprimée : user_pref("extensions.asktb.fresh-install", false);
  Supprimée : user_pref("extensions.asktb.guid", "54420f54-c618-4df0-9289-162f6d251cc4");
  Supprimée : user_pref("extensions.asktb.hxxp-header-whitelist-hosts", "[\"static-dev.en.dev.ask.com\", \"ask.com[...]
  Supprimée : user_pref("extensions.asktb.if", "first");
  Supprimée : user_pref("extensions.asktb.l", "dis");
  Supprimée : user_pref("extensions.asktb.last-config-req", "1321838181879");
  Supprimée : user_pref("extensions.asktb.locale", "fr_US");
  Supprimée : user_pref("extensions.asktb.location", "Antananarivo,Madagascar");
  Supprimée : user_pref("extensions.asktb.o", "101699");
  Supprimée : user_pref("extensions.asktb.overlay-reloaded-using-restart", true);
  Supprimée : user_pref("extensions.asktb.qsrc", "2871");
  Supprimée : user_pref("extensions.asktb.r", "5");
  Supprimée : user_pref("extensions.asktb.sa", "YES");
  Supprimée : user_pref("extensions.asktb.saguid", "D01416E6-214C-48B2-B744-FD9421C9E9D5");
  Supprimée : user_pref("extensions.asktb.search-suggestions-enabled", true);
  Supprimée : user_pref("extensions.asktb.silent-upgrade-from-pre-newtabs-build", false);
  Supprimée : user_pref("extensions.asktb.socialmini-first", true);
  Supprimée : user_pref("extensions.asktb.socialmini-interval", "1200000");
  Supprimée : user_pref("extensions.asktb.socialmini-max-char-ticker", "33");
  Supprimée : user_pref("extensions.asktb.socialmini-max-items", "30");
  Supprimée : user_pref("extensions.asktb.socialmini-native-on", true);
  Supprimée : user_pref("extensions.asktb.socialmini-speed", "5000");
  Supprimée : user_pref("extensions.asktb.socialmini-transition-first-open", false);
  Supprimée : user_pref("extensions.asktb.themeid", "");
  Supprimée : user_pref("extensions.asktb.to", "");
  Supprimée : user_pref("extensions.asktb.v", "3.12.5.100006");
  Supprimée : user_pref("extensions.asktb.version", "5.12.5.17640");
  Supprimée : user_pref("extensions.enabledAddons", "jqs@sun.com:1.0,{9AA46F4F-4DC7-4c06-97AF-5035170634FE}:4.7,to[...]
  Supprimée : user_pref("extensions.enabledItems", "mozilla_cc@internetdownloadmanager.com:6.9.1,{CAFEEFAC-0016-00[...]
  Supprimée : user_pref("keyword.URL", "hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=FXTV5&o=101699&local[...]
  
  -\\ Google Chrome v0.0.0.0
  
  Fichier : C:\Documents and Settings\JOCELYN\Local Settings\Application Data\Google\Chrome\User Data\Default\Preferences
  
  [OK] Le fichier ne contient aucune entrée illégitime.
  
  *************************
  
  AdwCleaner[S2].txt - [8536 octets] - [22/11/2011 08:57:23]
  AdwCleaner[S1].txt - [335 octets] - [22/11/2011 08:32:24]
  
  *************************
  
  Dossier Temporaire : 19 dossier(s)et 174 fichier(s) supprimés
  
  ########## EOF - \AdwCleaner[S2].txt - [8817 octets] ##########
  
  0
  
  Réagir
- 1
- 2
- 3
Suivant

System Fix- Au secours

58 réponses

Discussions similaires

Newsletters